Comment puis-je résoudre le statut « Action requise » de mon point de terminaison Route 53 Resolver ?

Résolution

Le message « Action requise » s'affiche lorsque vous essayez d'ajouter ou de supprimer l'adresse IP d'un point de terminaison

Vérifiez si votre utilisateur ou votre rôle AWS Identity and Access Management (IAM) dispose des autorisations requises pour ajouter ou supprimer des adresses IP de point de terminaison.

Ajouter une adresse IP

Lorsque vous ajoutez une adresse IP à un point de terminaison de résolution entrant ou sortant, les actions suivantes se produisent :

• Route 53 effectue un appel d'API AssociateResolverEndpointIpAddress.
• Pour chaque adresse IP que vous spécifiez, le résolveur crée automatiquement une interface réseau élastique VPC.

Le rôle ou l'utilisateur IAM doit disposer des autorisations pour effectuer les actions ec2:CreateNetworkInterface et ec2:DescribeNetworkInterfaces. Si ces autorisations ne sont pas présentes, la création échoue et le statut passe à Action requise.

Supprimer une adresse IP

Lorsque vous supprimez une adresse IP d'un point de terminaison de résolution entrant ou sortant, les actions suivantes se produisent :

• Un appel API DisassociateResolverEndpointIpAddress est effectué.
• L'interface réseau associée à l'adresse IP doit être supprimée en effectuant un appel «ec2:DeleteNetworkInterface».

Le rôle ou l'utilisateur IAM doit disposer des autorisations nécessaires pour exécuter les actions ec2:DeleteNetworkInterface et ec2:DescribeNetworkInterfaces. Si ces autorisations ne sont pas présentes, la suppression échoue et le statut passe à Action requise.

**Autorisations IAM **

Assurez-vous que l'utilisateur ou le rôle IAM dispose des autorisations suivantes pour ajouter ou supprimer des adresses IP des points de terminaison du résolveur Route 53 :

• ec2:DescribeNetworkInterfaces
• ec2:DescribeAvailabilityZones
• EC2 : Création d'une interface réseau
• ec2:DeleteNetworkInterface
• ec2:DescribeSubnets

Consultez les journaux AWS CloudTrail pour plus de détails sur l'action refusée. L'exemple suivant est un événement CloudTrail pour l'appel d'API AssociateResolverEndpointIPAddress lorsque les autorisations de l'utilisateur ou du rôle IAM sont manquantes :

"responseElements": {  
  "resolverEndpoint": {  
    "id": "rslvr-in-aaaaaaaaaaaaaaaaa",  
    "creatorRequestId": "AWSConsole.82.1579676363636",  
    "arn": "arn:aws:route53resolver:us-east-1:111111111111:resolver-endpoint/rslvr-in-11111111111111111",  
    "name": "aaa",  
    "securityGroupIds": [  
      "sg-11111111111111111"  
    ],  
    "direction": "INBOUND",  
    "ipAddressCount": 4,  
    "hostVPCId": "vpc-11111111",  
    "status": "ACTION_NEEDED",  
    "statusMessage": "1 IP address(es) failed to be created. Please remove them from the ResolverEndpoint.",  
    "creationTime": "2020-01-22T06:59:25.990Z",  
    "modificationTime": "2020-01-22T06:59:25.990Z"  
  }  
}

Pour vérifier davantage les autorisations IAM manquantes, consultez vos journaux CloudTrail pour détecter d'autres événements avant ou après l'événement AssociateResolverEndpointIPAddress. Par exemple, si l'utilisateur ou le rôle IAM ne dispose pas de l'autorisation CreateNetworkInterface, l'événement CloudTrail pour CreateNetworkInterface ressemble à l'exemple suivant :

"eventSource": "ec2.amazonaws.com",
"eventName": "CreateNetworkInterface",
"awsRegion": "us-east-1",
"sourceIPAddress": "AWS Internal",
"userAgent": "AWS Internal",
"errorCode": "Client.UnauthorizedOperation",
"errorMessage": "You are not authorized to perform this operation."

Le message « Action requise » s'affiche, mais vous n'avez pas essayé d'ajouter ou de supprimer une adresse IP de point de terminaison ou vous disposez des autorisations IAM appropriées

Cela signifie que le terminal est défectueux et que Resolver ne peut pas le récupérer automatiquement. Les causes courantes de ce problème incluent les cas suivants :

• Suppression d'une ou de plusieurs interfaces réseau associées au point de terminaison
• Impossibilité de créer l'interface réseau

Pour résoudre le problème, vérifiez chaque adresse IP que vous avez associée au point de terminaison. Pour chaque adresse IP non disponible, ajoutez une autre adresse IP. Supprimez ensuite l'adresse IP non disponible.

**Remarque :**Un point de terminaison doit toujours inclure au moins deux adresses IP.